Gegenereerde applicaties kunnen opgeslagen XSS toestaan via Blob ContentType (CVE-2026-107303)

Wat is er gebeurd

Gegenereerde applicaties konden door een aanvaller beheerde Blob‑gegevens en een bijbehorend ContentType opslaan, deze via de gegenereerde REST‑endpoints teruggeven en doorgeven aan de gegenereerde openFile‑helper. Die helper gebruikte het teruggegeven ContentType als Blob MIME‑type en opende een object‑URL; daardoor kan opgeslagen HTML of SVG uitgevoerd worden onder dezelfde origin wanneer een bevoegde gebruiker de object‑URL opent. Dit probleem staat geregistreerd als CVE-2026-107303. [Bronnen: 4120, 31840]

Technische oorzaak

De gegenereerde openFile‑helper nam het teruggegeven ContentType als MIME‑type voor de Blob en opende een object‑URL zonder dat dat ContentType werd beperkt of gevalideerd. Daardoor kon opgeslagen HTML of SVG onder dezelfde origin worden uitgevoerd. De zwakte valt binnen CWE-79. [Bronnen: 4120, 31840]

Waarom dit belangrijk is

Een normale geauthenticeerde gebruiker met schrijfrechten op een entiteit die Blobs bevat kon actieve HTML of SVG opslaan die wordt uitgevoerd als same‑origin content wanneer een bevoegde gebruiker deze opent. De exploitbaarheid hangt af van het content security policy van de gegenereerde applicatie en het Blob‑gedrag van de doelbrowser. De CVSS v3.1 basiscore is 7.6. [Bronnen: 4120, 31840]

Wie is getroffen

Applicaties die met generator-jhipster en react-jhipster zijn gegenereerd en die de genoemde codepad bevatten voor het opslaan en openen van Blob‑gegevens zijn getroffen voordat de fixes zijn toegepast. [Bronnen: 4120, 31840]

Getroffen versies

Het probleem treft generator-jhipster vanaf 0 tot maar niet inclusief 9.4.0, en react-jhipster vanaf 0 tot maar niet inclusief 1.1.0. [Bronnen: 4120, 31840]

Oplossingen en mitigatie

Er is een fix beschikbaar: generator-jhipster 9.4.0 en react-jhipster 1.1.0 bevatten reparaties voor dit probleem. De advisering meldt dat er een patch beschikbaar is. [Bronnen: 4120, 31840]

Ontdekking en tijdlijn

De OSV‑ en NVD‑vermeldingen voor CVE-2026-107303 zijn in oktober 2026 gepubliceerd (zie de bronvermeldingen). De beschikbare feiten vermelden publicatie‑ en wijzigingsmetadata. Er is geen naam van een ontdekker of een exploit‑tijdlijn opgenomen in de verstrekte feiten. [Bronnen: 4120, 31840]

Aanbevolen actie

Werk bij naar de beschikbare versies: upgrade generator-jhipster naar 9.4.0 (of later) en react-jhipster naar 1.1.0 (of later). Als directe bijwerking niet mogelijk is, houd er rekening mee dat de exploitbaarheid afhangt van het content security policy van de applicatie en het Blob‑gedrag van de browser bij het inschatten van risico. [Bronnen: 4120, 31840]